Компьютерно-техническая экспертиза: объекты и порядок

Компьютерно-техническая экспертиза, или КТЭ, отвечает не на общий вопрос «что было в компьютере», а на проверяемые вопросы о технике и цифровых следах. Она может установить свойства устройства, наличие программ, структуру данных, следы работы пользователя или сетевого взаимодействия. Но ценность вывода зависит от того, как объект был изъят, скопирован и передан эксперту. Изменённый носитель способен дать новый результат, который уже невозможно отделить от исходных данных. Поэтому КТЭ находится на стыке специальных знаний и процессуальной формы: эксперту нужен корректный объект, а суду - понятная история его происхождения.

Что исследует компьютерно-техническая экспертиза

Объектом может быть не только персональный компьютер. Исследуют системные блоки и ноутбуки, накопители, карты памяти, смартфоны, маршрутизаторы, резервные копии, виртуальные машины и данные, выгруженные из облачного сервиса. «Облако» не является предметом, который можно положить в пакет: обычно эксперту передают полученную законным способом выгрузку, учётные данные в допустимом процессуальном объёме либо копию данных. Поэтому в постановлении и вопросах важно назвать именно тот объект и источник, которые доступны для исследования.

Часто выделяют четыре взаимосвязанных вида КТЭ. Аппаратно-компьютерная устанавливает характеристики и работоспособность устройства: конфигурацию, тип накопителя, наличие портов или следов вмешательства. Программно-компьютерная исследует операционную систему, приложения, настройки и вредоносный код. Информационно-компьютерная работает с файлами, журналами, метаданными, удалёнными записями и пользовательскими артефактами. Компьютерно-сетевая рассматривает настройки сети, журналы соединений, адреса и следы обмена. Это не четыре герметичные профессии: один случай может потребовать всех направлений.

Сам носитель и сведения на нём - разные уровни доказательственной работы. О том, когда предмет получает статус, полезно прочитать статью о вещественных доказательствах по УПК. КТЭ не делает любой файл достоверным автоматически: происхождение, способ получения и связь с обстоятельствами дела проверяются отдельно.

Неизменность: оригинал, образ и хеш-сумма

Обычная профессиональная цель при работе с накопителем - минимизировать изменения оригинала. Для исследования создают побитовую копию, или образ: копируются не только видимые файлы, но и служебные области, где могут находиться фрагменты удалённых данных и сведения файловой системы. Образ - не просто копирование папки на флешку; его полнота и способ создания должны быть воспроизводимо описаны.

Рассчитать для своей задачи

При подключении носителя применяют блокиратор записи (write blocker): он позволяет считывать данные, но препятствует командам записи со стороны рабочей станции. Это снижает риск того, что операционная система обновит служебные записи на подключённом диске. До и после создания образа вычисляют криптографическую хеш-сумму. Совпадение значения у исходного носителя и образа служит контролем идентичности полученных битов, но само по себе не доказывает, кто создал файл или совершил действие. Для понимания свойства хеша как цифрового «отпечатка» см. требования к криптографической хеш-функции.

Нельзя превращать этот принцип в ритуал. В протоколе и заключении должны быть различимы: идентификатор носителя, его состояние, применённые средства, время и условия действий, алгоритм и значение хеша, имя образа, место хранения. Если исследование шифрованного устройства требовало включения или разблокировки, это не скрывают: фиксируют исходное состояние и конкретные действия. Так проверяющий сможет понять, что именно делал специалист, а не только увидеть итоговый отчёт.

Цепочка хранения и процессуальная форма

Цепочка хранения - это непрерывная документированная история: кто обнаружил объект, как его описали и упаковали, кому и когда передали, где он хранился, кто создавал образ и на каком материале работал эксперт. Она нужна не для «идеальной бумажности», а чтобы исключить неразличимую подмену, утрату или вмешательство. Упаковка, пломба и отметки о передаче сохраняют возможность проверить именно тот объект, который был обнаружен.

Рассчитать для своей задачи

Нарушение этой последовательности не имеет автоматического универсального последствия. Оценка допустимости зависит от конкретного нарушения и его влияния на гарантии и проверяемость доказательства. Поэтому полезно отделять технический вопрос «сохранились ли байты» от процессуального вопроса о недопустимости доказательств. Исправить задним числом отсутствие описания носителя или неизвестный путь передачи обычно невозможно: можно лишь честно указать пределы выводов.

Особенности изъятия по статье 164.1 УПК РФ

Для уголовных дел, перечисленных в части 4.1 статьи 164 УПК РФ, закон ограничивает изъятие электронных носителей: оно не допускается, кроме трёх ситуаций. Это назначенная судебная экспертиза в отношении носителя, судебное решение либо данные, которыми владелец не вправе распоряжаться, которые могут использоваться для новых преступлений или могут быть утрачены либо изменены при копировании по заявлению специалиста. Речь идёт о предусмотренных законом экономических составах и связанных случаях, а не о любом споре бизнеса с государством.

Часть 2 статьи 164.1 требует участия специалиста при изъятии электронных носителей. По ходатайству законного владельца либо обладателя информации специалист в присутствии понятых копирует информацию на предоставленный ими носитель, если нет указанного законом риска утраты или изменения. Само копирование тоже не должно оставаться «чёрным ящиком»: часть 3 требует отразить в протоколе средства, порядок их применения, носители и результаты. Это правовая норма, а не инструкция по цифровой криминалистике, поэтому конкретные технические действия выбирают по ситуации и компетенции участников.

Не нужно путать эти правила с правом на свободное копирование всех данных. Они действуют в заданной процессуальной ситуации, а доступ к чужим сведениям, тайне связи или облачному аккаунту имеет самостоятельные правовые основания. Если цифровые сведения получены в ходе оперативной работы, их дальнейшая оценка связана и с тем, как формируется доказательственное значение ОРД.

Какие вопросы ставят эксперту

Вопрос эксперту не должен требовать правовой оценки («виновен ли владелец?») или предполагать нужный факт («подтвердите кражу»). Рабочие формулировки конкретны и соразмерны объекту:

• каковы технические характеристики и работоспособность представленного устройства;
• имеются ли на предоставленном образе файлы заданного типа, включая следы их удаления, и какие у них метаданные;
• какие учётные записи, программы, журналы и настройки содержатся на объекте;
• имеются ли сведения о подключении конкретного носителя, сети или учётной записи в указанный период;
• какова последовательность операций, которую позволяют реконструировать сохранившиеся артефакты, и какие ограничения у такой реконструкции.

Метаданные - это служебные сведения: имя, размер, временные отметки, путь, идентификаторы, иногда автор или данные приложения. Они зависят от файловой системы, копирования, синхронизации и системных часов. Поэтому метка «автор» или время изменения - ориентир для проверки версии, а не самостоятельный ответ о личности человека. КТЭ должна объяснять источник артефакта и границы вывода.

Удалённые данные, телефоны и облачные следы

Удаление файла чаще всего убирает ссылку на него из структуры файловой системы, а не немедленно стирает все блоки. Пока область не перезаписана, программа может обнаружить фрагменты или записи. Но результат зависит от типа носителя, шифрования, настройки системы и последующей работы; твердотельные накопители с командами очистки особенно уменьшают шансы на восстановление. Корректный вывод здесь вероятностный и описывает найденный артефакт, а не обещает «вернуть всё удалённое».

У мобильного устройства добавляются состояние питания, блокировка, шифрование, SIM-карты, синхронизация и риск удалённого изменения. У облачного сервиса - распределённое хранение, журналы доступа, резервные копии и разница между данными на устройстве и на сервере. Инструменты вроде UFED или EnCase помогают извлекать и индексировать данные, но не заменяют методику, протокол и экспертную интерпретацию. Их название в отчёте не является доказательством точности результата: важны версия, режим работы, входные данные и возможность проверки.

Ошибки при обращении с цифровым объектом

• Включить и «посмотреть» компьютер без фиксации состояния. Система может изменить журналы и служебные файлы; сначала описывают состояние и выбирают способ сохранения данных.
• Работать только с оригиналом. Это повышает риск изменить объект и лишает другую сторону возможности исследовать неизменённую копию.
• Не сохранить хеш и сведения о способе копирования. Тогда трудно проверить, тот ли массив данных исследовал эксперт.
• Считать дату файла доказательством автора. Временные метки и поля автора могут переноситься, изменяться или относиться к программе, а не к человеку.
• Ставить вопрос о виновности. Эксперт устанавливает специальные факты; их юридическую оценку даёт орган расследования или суд.

FAQ

Можно ли исследовать только копию, а не оригинальный носитель? Да, если происхождение и неизменность копии надёжно зафиксированы. Побитовый образ с контрольными хешами обычно позволяет анализировать данные, сохраняя оригинал; достаточность зависит от поставленного вопроса.

Доказывает ли совпадение хеш-сумм подлинность документа? Оно подтверждает, что два набора битов одинаковы на момент вычисления. Оно не устанавливает автора, время создания или законность получения файла.

Всегда ли можно восстановить удалённый файл? Нет. Возможность зависит от перезаписи, шифрования, типа накопителя и сохранности служебных структур. Эксперт может обнаружить фрагмент, запись о файле или не обнаружить ничего.

Коротко

Компьютерно-техническая экспертиза исследует устройства, программы, данные и сетевые следы, но её выводы прочны только при понятном происхождении объекта. Побитовая копия, блокиратор записи, хеш-сумма и цепочка хранения помогают сохранить и проверить неизменность, а не подменяют оценку доказательств. Вопросы эксперту формулируют о технических фактах и ограничениях. При изъятии электронных носителей необходимо учитывать специальный режим статьи 164.1 УПК РФ, включая участие специалиста и фиксацию копирования в протоколе.